Negli ultimi mesi abbiamo raccontato la direttiva NIS2 pezzo per pezzo: chi deve adeguarsi, di chi è la responsabilità e quali strumenti tecnici coprono i singoli obblighi, dal firewall perimetrale alla segmentazione della rete, fino al routing avanzato e alla gestione dei fornitori. Con la scadenza del 31 ottobre 2026 sempre più vicina, ha senso mettere insieme i pezzi in un’unica checklist operativa.
Le organizzazioni nel perimetro NIS2 devono presidiare dieci aree. Ecco quali sono e cosa verificare in ciascuna.
Governance e responsabilità
Referente della sicurezza: deve esistere una figura, interna o esterna, formalmente incaricata della cybersecurity, con un documento che ne definisce ruoli e responsabilità.
Registrazione ACN: la struttura deve essere censita sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale, con un punto di contatto identificato per le comunicazioni.
Formazione del management: come abbiamo scritto parlando di responsabilità, l’articolo 23 del decreto impone formazione obbligatoria ai vertici aziendali, non solo al reparto IT.
Analisi dei rischi
Inventario asset: serve un censimento completo dei dispositivi connessi e dei sistemi critici per l’erogazione dei servizi.
Valutazione fornitori
Ogni fornitore IT critico va valutato dal punto di vista della sicurezza, con contratti che includano clausole di responsabilità cyber e una verifica periodica della conformità.
Misure tecniche di protezione
Questa è l’area più corposa e quella su cui ci siamo soffermati di più negli articoli precedenti. Riguarda quattro fronti distinti.
Protezione perimetrale e accessi: firewall configurato e aggiornato, rete Wi-Fi separata per ospiti, VPN con autenticazione forte, password complesse e 2FA sugli strumenti critici.
Protezione degli endpoint: antivirus aggiornato su tutti i PC e server, patch di sicurezza applicate regolarmente, procedura definita per i dispositivi personali (BYOD).
Backup e disaster recovery: backup completo almeno settimanale, con una copia offline scollegata dalla rete per proteggersi dal ransomware, e un piano di disaster recovery scritto che documenti i tempi massimi di disservizio accettabile.
Monitoraggio: log conservati per almeno sei mesi e un sistema di allerta per le attività sospette.
Gestione incidenti e continuità operativa
Serve un piano scritto che indichi chi ha l’autorità di dichiarare un incidente, i contatti di emergenza (IT, CSIRT, ACN) e le procedure per notificare l’incidente entro 24 ore per il primo alert e 72 ore per il report dettagliato. Vanno previste anche simulazioni periodiche, almeno annuali.
Conformità GDPR
NIS2 e GDPR viaggiano insieme quando si parla di dati personali. Serve un DPO o un responsabile privacy nominato, il registro dei trattamenti aggiornato e una procedura scritta per gestire i data breach, con tempi di notifica al Garante entro 72 ore.
Formazione, documentazione e accessi
Formazione: tutto il personale, non solo l’IT, deve ricevere formazione base sulla cybersecurity con cadenza almeno annuale.
Documentazione: politica di sicurezza informatica approvata dalla direzione, piano di continuità operativa e almeno un audit di sicurezza negli ultimi dodici mesi.
Gestione accessi: credenziali personali per ogni utente, principio del minimo privilegio e disattivazione immediata degli account di chi lascia la struttura.
Un modo pratico per iniziare
Mettere insieme tutti questi punti a partire da zero può essere dispersivo. Per le RSA e le case di riposo, che rientrano tra i soggetti spesso meno preparati sul tema, abbiamo sviluppato un auto-assessment NIS2 gratuito: 93 domande su queste dieci aree, con un punteggio indicativo al termine. Non sostituisce un audit professionale, ma è un buon punto di partenza per capire dove intervenire prima.
Se la tua organizzazione opera in un altro settore e vuoi una valutazione della tua situazione, contattaci: possiamo strutturare un percorso di formazione e verifica su misura.
